深入淺出 Windows 2000 Active Directory 核心概念與架構

前言：從「靜態目錄」到「動態目錄」的範式轉移

在 DOS 與 Windows 9x 時代，「目錄」或「資料夾」僅是檔案在磁碟上的位置標記——靜態、被動、孤立。Windows 2000 引入 Active Directory（AD），核心在於「活動」二字：它是一個包含服務功能、可動態關聯映射的分散式目錄服務。找到一個使用者帳號，即可關聯其郵件、電話、職位、權限等所有屬性，即使資料分散於不同伺服器；不同應用程式可共享同一組目錄資料，消除重複設定，大幅提升系統資源利用率與管理效率。

一、 Active Directory 的雙重面向

二、 邏輯結構：彈性的組織模型

1. 核心單元：網域、樹系、森林

• 網域：安全性邊界、複寫單位、管理範圍。所有 DC 平等（多主機複寫），無 PDC/BDC 之分。
• 樹系：共享連續命名空間的網域集合（父/子網域），共用 Schema、Configuration、Global Catalog，雙向可傳遞信任。
• 森林：一或多個不共享連續命名空間的樹系集合，共用 Schema、Configuration、Global Catalog，透過 Kerberos 信任互連。

2. 組織單元 - 管理授權的最小顆粒

OU 是網域內的容器物件，可巢狀形成邏輯階層（依部門、地理、職能劃分）。OU 支援：

• 群組原則套用：針對 OU 連結 GPO，實現精細化設定部署。
• 管理委派：將特定權限（如重設密碼、建立使用者）授予非網域管理員，達成「顆粒化授權」。
• 物件查找：透過 Global Catalog，跨網域快速定位物件。

三、 物理結構：優化複寫與登入效能

1. 站台 - 反映實體網路拓撲

• 由一或多個高速連結的 IP 子網組成（通常對應 LAN）。
• 站台內複寫：RPC 未壓縮、變更通知驅動、高頻率、低延遲。
• 站台間複寫：SMTP/RPC 壓縮（10-15%）、排程驅動、可指定橋頭伺服器、跨防火牆支援。

2. 網域控制器 - 目錄資料的載體

• 執行 Windows 2000 Server，持有可寫入的網域目錄副本。
• 多主機複寫：USN（更新序號）機制確保最終一致性，衝突自動解決。
• 全域類別目錄伺服器：儲存全森林所有物件的部分屬性（PAT 集合），支援跨網域查詢（如尋找所有印表機），預設第一台 DC 為 GC。
• 作業主機角色：Schema Master、Domain Naming Master、RID Master、PDC Emulator、Infrastructure Master，單一主機操作確保關鍵變更一致性。

四、 部署關鍵規劃：命名、信任與先決條件

1. DNS 命名策略

• AD 網域名 = 完整 DNS 名稱（如 corp.example.com）。
• 根網域名選擇：已註冊公網域名、其子網域、完全內部名稱、或公私網分離命名。
• 使用者主體名稱 (UPN) 格式：user@domain.com，支援替代 UPN 尾碼簡化登入。

2. 信任關係規劃

• 樹系/樹系內：雙向可傳遞 Kerberos 信任（自動建立）。
• 跨森林/NT 4.0 網域：單向非傳遞信任（手動建立）。
• 升級情境：保留現有 NT 4.0 信任，新增需建立外部信任。

3. 安裝先決條件

• Windows 2000 Server/Advanced Server + NTFS 磁區。
• TCP/IP 已配置，DNS 支援 SRV 記錄與動態更新（RFC 2136）。
• 執行 Dcpromo.exe 圖形化精靈：新增森林、新增樹系、新增子網域、或額外 DC。
• 安裝後三大 MMC：AD 使用者與電腦、AD 網域與信任、AD 站台與服務。

五、 企業級價值：ICE 三大優勢

• 整合性：用戶/資源管理、網路服務、應用管理三位一體；整合 DNS、MSMQ、MTS、Kerberos、PKI、ADSI、OLE DB。
• 全面性：從小型到億級物件伸縮；多主機複寫容錯；顆粒化授權；Group Policy 策略化管理；目錄啟用網路 (DEN) 與應用 (DEA)。
• 易用性：Dcpromo 精靈化部署、可解除安裝、圖形化管理工具、委派精靈、內建備份/還原（F8 目錄服務還原模式）。

結語

Active Directory 不只是目錄服務，更是 Windows 2000 企業網路的中樞神經。理解其邏輯/物理架構、命名規劃、複寫機制與管理模型，是打造安全、可擴展、易維運 IT 基礎設施的關鍵。無論您是從 NT 4.0 遷移，還是全新部署，掌握 AD 核心概念都是邁向現代化身分管理的第一步。